Antwort 13 zu den 43 wichtigsten Security Controls: Password- und Privilege Access Management (PAM)
Password- und Privileged Access Management (PAM) hilft Dir, Passwörter sicher zu verwalten und privilegierte Zugriffe auf Deine Systeme zu kontrollieren. Dabei geht es um mehr als starke Kennwörter: Klare Verantwortlichkeiten, passende Berechtigungen und nachvollziehbare Zugriffe schaffen Sicherheit im Arbeitsalltag.
In unseren Beiträgen erfährst Du, wie Du Zugangsdaten und administrative Konten schützt und welche Richtlinien Du für ihre Verwaltung brauchst. Wir zeigen Dir, wie Du Passwortschutz, Zugriffskontrolle und geregelte Abläufe miteinander verbindest – damit Dein Team sicher arbeiten kann und Du den Überblick behältst.
Unsere Beiträge zum Thema Password- und Privileged Access Management (PAM):
> Haben wir Richtlinien für die Verwaltung und Sicherung von Passwörtern?
> Werden privilegierte Zugriffe überwacht und kontrolliert?
12.11.2026
Haben wir Richtlinien für die Verwaltung und Sicherung von Passwörtern?
Freitag, 16:47 Uhr. Ein externer Dienstleister braucht kurzfristig Zugriff auf einen Server. Der zuständige Administrator ist bereits ins Wochenende gegangen. Ein Kollege findet die Zugangsdaten in einer alten Projektdokumentation und schickt sie weiter. Die Wartung funktioniert, das Problem ist gelöst.
Aber wer ändert anschließend das Passwort? Wie lange bleibt der Zugang nutzbar? Und lässt sich später nachvollziehen, wer auf dem Server welche Einstellungen verändert hat? Genau in solchen Situationen zeigt sich, wie gut Deine Passwortverwaltung tatsächlich organisiert ist. Eine Vorgabe zu Mindestlänge und Sonderzeichen beantwortet diese Fragen nicht. Dafür brauchst Du klare Regeln, verlässliche Abläufe und technische Unterstützung.
Password- und Privileged Access Management (PAM) verbindet den Schutz von Zugangsdaten mit der Kontrolle darüber, wer welche Rechte nutzen darf. Eine wirksame Richtlinie begleitet deshalb den gesamten Lebenszyklus eines Zugangs: von der Einrichtung über die tägliche Nutzung bis zur Sperrung.
Was bedeutet ein „Ja“ auf diese Frage wirklich?
„Wir haben eine Passwortrichtlinie.“ Dieser Satz klingt beruhigend. Vielleicht gibt es ein entsprechendes Dokument im Intranet. Vielleicht müssen Beschäftigte bei ihrem ersten Login bestätigen, dass sie es gelesen haben. Doch entscheidend ist, was davon im Alltag ankommt. Weiß Dein Team, wo geschäftliche Passwörter gespeichert werden dürfen? Ist geregelt, wie der Helpdesk die Identität einer Person prüft, bevor er deren Passwort zurücksetzt? Werden Zugänge externer Dienstleister nach Projektabschluss zuverlässig deaktiviert? Ein belastbares „Ja“ bedeutet, dass die Regeln dokumentiert, verständlich und technisch umgesetzt sind. Außerdem muss jemand dafür verantwortlich sein, ihre Einhaltung zu prüfen und Lücken zu schließen. Sonst entsteht zwischen Richtlinie und Realität ein Freiraum, in dem improvisierte Lösungen schnell zur Gewohnheit werden.
Beginne mit den Konten, die leicht übersehen werden
Bevor Du Passwörter sinnvoll absichern kannst, brauchst Du einen Überblick über die zugehörigen Konten. Dazu gehören persönliche Benutzerkonten genauso wie administrative Zugänge, lokale Administratorkonten, Dienstkonten und externe Wartungszugänge.
Gerade technische Konten geraten leicht aus dem Blick. Sie betreiben Schnittstellen, führen Sicherungen aus oder verbinden Anwendungen miteinander. Häufig existieren sie länger als das Projekt, für das sie ursprünglich eingerichtet wurden. Manchmal weiß niemand mehr genau, welche Systeme von ihnen abhängen. Deine Richtlinie sollte deshalb festlegen, dass jedes relevante Konto einen nachvollziehbaren Zweck und eine verantwortliche Person hat. Bei technischen Konten muss außerdem dokumentiert sein, wo die Zugangsdaten verwendet werden. Diese Zuordnung verhindert, dass ein notwendiger Passwortwechsel plötzlich einen wichtigen Geschäftsprozess unterbricht. Für besonders mächtige Konten lohnt sich ein genauerer Blick: Wer kann damit Sicherungen löschen, Sicherheitsfunktionen abschalten oder neue Administratoren anlegen? Solche Zugänge verdienen eine höhere Schutzstufe.
Gute Passwortregeln müssen im Alltag funktionieren
Ein kompliziert aussehendes Passwort ist nicht automatisch ein gutes Passwort. Wenn Beschäftigte bei jedem erzwungenen Wechsel lediglich die Zahl am Ende erhöhen, entsteht vor allem ein vorhersehbares Muster. Lege deshalb nachvollziehbare Anforderungen an Länge, Einzigartigkeit und die Vermeidung bekannter oder kompromittierter Passwörter fest. Lange Passphrasen können für selbst eingegebene Kennwörter praktikabel sein. Ein freigegebener Passwortmanager erleichtert es, für unterschiedliche Dienste jeweils eigene, zufällig erzeugte Passwörter zu verwenden.
Die Richtlinie muss auch erklären, wann ein Passwort geändert werden muss. Bei einem Verdacht auf Offenlegung oder Missbrauch ist ein Wechsel erforderlich. Pauschale, häufige Wechsel persönlich genutzter Passwörter ohne konkreten Anlass sind dagegen kein verlässlicher Sicherheitsgewinn. Für privilegierte oder gemeinsam verwendete technische Zugangsdaten können automatisierte Wechsel sinnvoll sein, beispielsweise nach einer Nutzung oder nach festgelegten Risikovorgaben. Dabei müssen die abhängigen Systeme berücksichtigt werden. Die Regeln sollten zur Art des Kontos passen und sich technisch zuverlässig umsetzen lassen.
Sichere Aufbewahrung braucht einen freigegebenen Weg
Wenn Du Deinem Team untersagst, Passwörter in Tabellen, Notizen oder Chats abzulegen, braucht es eine praktikable Alternative. Andernfalls wird die nächste Ausnahme nur eine Frage der Zeit sein. Definiere deshalb, welche Werkzeuge für die Speicherung geschäftlicher Zugangsdaten vorgesehen sind. Für persönliche Benutzerkonten kann ein zentral verwalteter Passwortmanager geeignet sein. Bei administrativen Zugangsdaten kommen zusätzliche Anforderungen hinzu: kontrollierte Freigaben, nachvollziehbare Nutzung und gegebenenfalls automatische Passwortwechsel.
Ein Passworttresor innerhalb einer PAM-Lösung kann diese Aufgaben unterstützen. Bei entsprechend eingerichteten Verbindungen lässt sich der Zugriff auf ein Zielsystem ermöglichen, ohne dass die zugreifende Person dessen Passwort kennen oder kopieren muss. Auch der Tresor selbst benötigt ein Schutzkonzept. Wer darf ihn administrieren? Wer darf gespeicherte Geheimnisse auslesen? Wie werden Sicherungen geschützt? Und wie funktioniert der Zugriff, wenn zentrale Komponenten ausfallen? Diese Fragen gehören bereits in die Planung.
Ein starkes Passwort ersetzt keine begrenzten Rechte
Ein gut geschütztes Konto kann trotzdem zu viel dürfen. Wird es übernommen oder versehentlich falsch genutzt, bestimmen seine Berechtigungen, wie groß der mögliche Schaden ausfällt. Hier verbindet sich Passwortverwaltung mit Privileged Access Management. Deine Richtlinie sollte festlegen, dass Berechtigungen auf die jeweilige Aufgabe begrenzt werden. Administrative Tätigkeiten sollten über separate Konten erfolgen. Das Konto für E-Mails, Recherche und alltägliche Arbeit braucht normalerweise keine umfassenden Systemrechte.
Besonders sensible Zugriffe sollten zusätzlich durch Mehrfaktor-Authentifizierung abgesichert werden, möglichst mit phishingresistenten Verfahren. Ebenso wichtig sind klare Freigaben und zeitliche Grenzen: Wer für eine Wartung erhöhte Rechte benötigt, braucht sie nicht automatisch dauerhaft. Damit entsteht ein kontrollierter Ablauf. Eine Person erhält die erforderliche Berechtigung für einen definierten Zweck und Zeitraum. Anschließend endet der Zugriff oder wird wieder auf das normale Maß reduziert.
Externe Zugriffe dürfen kein offenes Ende haben
Dienstleister benötigen häufig Zugang zu kritischen Systemen. Im Projektgeschäft ist schnell geklärt, wann dieser Zugang eingerichtet werden soll. Weniger eindeutig ist oft, wer ihn später wieder entzieht. Deine Richtlinie sollte deshalb bereits bei der Freigabe einen internen Verantwortlichen, den erlaubten Umfang und ein Ablaufdatum vorsehen. Externe Personen sollten sich individuell identifizieren lassen. Ein dauerhaft geteiltes „Wartungskonto“, dessen Kennwort mehrere Firmen kennen, erschwert die Zuordnung von Aktivitäten erheblich.
Für sensible administrative Tätigkeiten können Sitzungsüberwachung und Sitzungsaufzeichnung zusätzliche Transparenz schaffen. Dabei muss geregelt sein, welche Sitzungen erfasst werden, wer Aufzeichnungen auswerten darf und wann sie gelöscht werden. Bezieh Datenschutz und gegebenenfalls den Betriebsrat frühzeitig ein. So bleibt auch Monate nach einer Wartung nachvollziehbar, welcher Zugriff freigegeben war und welche Aktivitäten dokumentiert wurden.
Passwort vergessen: Der Rücksetzprozess gehört zum Schutzkonzept
Der Anruf klingt dringend: Eine Führungskraft sitzt beim Kunden und kommt nicht ins System. Das Passwort müsse sofort zurückgesetzt werden. Name, Abteilung und Projekt sind bekannt – also wird geholfen. Genau deshalb braucht Dein Helpdesk einen verbindlichen Ablauf zur Identitätsprüfung. Öffentlich verfügbare Angaben oder eine überzeugende Geschichte reichen als Nachweis nicht aus. Lege fest, wie Passwort-Rücksetzungen freigegeben werden, wie temporäre Zugangsdaten sicher übermittelt werden und wie die betroffene Person über Änderungen informiert wird. Auch verlorene MFA-Geräte und Wiederherstellungscodes müssen berücksichtigt werden. Ein abgesicherter Self-Service kann Dein Team entlasten und Wartezeiten verkürzen. Voraussetzung ist, dass auch dieser Weg die Identität zuverlässig prüft. Der Schutz eines Kontos hängt schließlich ebenso davon ab, wie einfach jemand ein neues Passwort erhalten kann.
Rollenwechsel, Austritt und Notfälle verbindlich regeln
Berechtigungen wachsen oft schrittweise. Eine Mitarbeiterin übernimmt eine Vertretung, wechselt später die Abteilung und unterstützt anschließend ein Sonderprojekt. Ohne regelmäßige Prüfung bleiben Rechte bestehen, deren ursprünglicher Zweck längst entfallen ist. Deshalb sollte Deine Richtlinie festlegen, welche Änderungen eine Überprüfung auslösen. Dazu gehören Rollenwechsel, Projektende und Austritt. Verantwortlichkeiten und Fristen müssen so klar sein, dass Personalbereich, Fachabteilungen und IT verlässlich zusammenarbeiten können. Beim Austritt genügt es je nach Umgebung nicht, nur das zentrale Benutzerkonto zu sperren. Zusätzliche Cloud-Konten, aktive Sitzungen und bekannte gemeinsame Zugangsdaten können weitere Maßnahmen erfordern.
Auch für Notfälle brauchst Du einen geregelten Zugang. Solche Notfallkonten müssen besonders geschützt, auf Funktionsfähigkeit geprüft und bei Nutzung überwacht werden. Nach einem Einsatz sollte nachvollzogen werden, was geschehen ist und welche Zugangsdaten erneuert werden müssen. Ein Notfallverfahren ist erst dann belastbar, wenn es auch beim Ausfall der üblichen Anmeldung funktioniert.
Was die ISO 27001 zu diesem Thema verlangt
Die ISO/IEC 27001 verlangt, Informationssicherheitsrisiken systematisch zu bewerten, geeignete Maßnahmen festzulegen und deren Wirksamkeit zu überprüfen. Für Password- und Privileged Access Management (PAM) sind insbesondere die Maßnahmen zu Authentifizierungsinformationen (A.5.17), Zugangsrechten (A.5.18), privilegierten Zugangsrechten (A.8.2) und sicherer Authentifizierung (A.8.5) relevant. Welche Maßnahmen Du benötigst, leitest Du aus Deiner Risikobewertung ab und dokumentierst Auswahl und Begründung in der Erklärung zur Anwendbarkeit. Praktisch unterstützen Dich dabei klare Richtlinien, geregelte Vergabe- und Entzugsprozesse, geschützte Zugangsdaten sowie überprüfbare Freigaben und Protokolle. Die Norm gibt keine pauschale Passwortlänge für jedes Unternehmen vor und verlangt kein bestimmtes PAM-Produkt. Eine passende Lösung kann die Umsetzung und Nachweisführung erleichtern; sie ersetzt weder die organisatorischen Regeln noch deren regelmäßige Prüfung.
Wie Password- und Privileged Access Management (PAM) Deine Regeln umsetzbar macht
Eine Richtlinie legt fest, wie Zugriffe ablaufen sollen. Die passende Technik hilft Dir, diese Vorgaben im Betrieb durchzusetzen. Dabei erfüllen Passwortschutz, Sitzungsüberwachung und Berechtigungsmanagement unterschiedliche Aufgaben.
WALLIX PAM: Administrative Zugangsdaten kontrolliert einsetzen
WALLIX PAM unterstützt Dich dabei, privilegierte Zugangsdaten zentral zu schützen und administrative Zugriffe zu steuern. Zu den relevanten Funktionen gehören die sichere Speicherung und Rotation von Zugangsdaten sowie die Überwachung und Aufzeichnung privilegierter Sitzungen. Damit kannst Du beispielsweise einen Wartungszugriff kontrolliert bereitstellen und die Nutzung nachvollziehen. Welche Funktionen zum Einsatz kommen, richtet sich nach den ausgewählten Modulen und der Anbindung Deiner Systeme. Für Deine Richtlinie bedeutet das: Vorgaben zur Aufbewahrung, Nutzung und Erneuerung administrativer Zugangsdaten lassen sich mit technischen Kontrollen verbinden.
FUDO PAM: Privilegierte Sitzungen nachvollziehbar machen
FUDO PAM unterstützt die Kontrolle, Überwachung und Aufzeichnung privilegierter Zugriffe. Berechtigte Verantwortliche können laufende Sitzungen einsehen und bei Bedarf eingreifen. Aufzeichnungen helfen dabei, administrative Tätigkeiten später nachzuvollziehen. Das ist besonders relevant, wenn eigene Teams und externe Dienstleister auf unterschiedliche Systeme zugreifen. Auch in hybriden Umgebungen kannst Du damit administrative Zugriffe auf unterstützte Zielsysteme kontrollieren. Funktionen zur Verwaltung privilegierter Zugangsdaten ergänzen das Sitzungsmanagement abhängig vom eingesetzten Funktionsumfang. So lassen sich Regeln zur Zugriffskontrolle und Nachvollziehbarkeit unmittelbar in den Arbeitsablauf einbinden.
BAYOOSOFT Access Manager: Berechtigungen geordnet vergeben und überprüfen
Der BAYOOSOFT Access Manager ergänzt das Thema auf der Ebene der Identitäten und Berechtigungen. Im Mittelpunkt stehen geregelte Antrags- und Genehmigungsprozesse, Berechtigungsprofile und die regelmäßige Überprüfung bestehender Rechte. Damit kannst Du organisatorische Vorgaben zur Vergabe und Kontrolle von Zugriffsrechten unterstützen. Ergänzend bietet BAYOOSOFT Funktionen für das Zurücksetzen von Passwörtern im Self-Service. Der Schwerpunkt unterscheidet sich damit von einem PAM-Tresor oder einer Lösung zur Aufzeichnung administrativer Sitzungen. Für ein durchgängiges Konzept können sich diese Aufgaben sinnvoll ergänzen: Du regelst, wer welche Rechte erhält, und sicherst besonders kritische Zugriffe zusätzlich ab.
Prüfe Deine Richtlinie an einem echten Vorgang
Ob Deine Regeln funktionieren, erkennst Du am besten an konkreten Abläufen. Nimm beispielsweise den letzten externen Wartungszugriff und verfolge ihn von der Beantragung bis zum Abschluss. Lässt sich erkennen, wer den Zugriff genehmigt hat? War er auf die benötigten Systeme begrenzt? Ist die handelnde Person eindeutig zugeordnet? Wurde der Zugang anschließend beendet? Und sind die vorgesehenen Nachweise vorhanden? Wiederhole diese Prüfung für einen Mitarbeiteraustritt und eine Passwort-Rücksetzung. Wenn Dein Team die Abläufe nur durch Nachfragen oder persönliche Erinnerungen rekonstruieren kann, zeigt sich konkreter Verbesserungsbedarf. Für die laufende Kontrolle helfen wenige aussagekräftige Kennzahlen: etwa der Anteil privilegierter Konten mit zugeordneten Verantwortlichen, abgelaufene externe Zugänge oder überfällige Berechtigungsprüfungen. Entscheidend ist, dass aus erkannten Abweichungen auch Maßnahmen entstehen.
Mit der DATAKOM von der Vorgabe zur verlässlichen Praxis
Wirksames Password- und Privileged Access Management (PAM) beginnt mit klaren Entscheidungen: Welche Konten sind besonders kritisch? Wer darf Zugriffe freigeben? Wo werden Zugangsdaten gespeichert? Und wie wird geprüft, ob Berechtigungen weiterhin benötigt werden? Die DATAKOM unterstützt Dich bei der Auswahl und Einführung passender Lösungen. Mit WALLIX PAM und FUDO PAM kannst Du privilegierte Zugangsdaten und administrative Sitzungen absichern. Der BAYOOSOFT Access Manager ergänzt Dein Konzept durch strukturierte Prozesse für Identitäten und Berechtigungen. So kannst Du die Frage „Haben wir Richtlinien für die Verwaltung und Sicherung von Passwörtern?“ mit einem belastbaren Ja beantworten: Deine Regeln sind bekannt, technisch unterstützt und im Alltag überprüfbar. Du möchtest wissen, wo Deine Passwort- und Berechtigungsverwaltung noch Lücken hat? Sprich mit der DATAKOM über ein Konzept, das zu Deinen Systemen und Arbeitsabläufen passt.
11.09.2025
Werden privilegierte Zugriffe überwacht und kontrolliert?
Wenn es um IT-Sicherheit geht, ist eine der entscheidendsten Fragen: Wer hat wirklich den Schlüssel zum System – und wird genau dieser Zugriff überwacht?
Privilegierte Zugänge sind das zentrale Ziel von Angriffen, weil sie direkten Zugriff auf die kritischsten Systeme ermöglichen. Deshalb reicht es nicht aus, nur ein paar technische Tools einzusetzen. Es braucht ein Zusammenspiel aus klaren Richtlinien, Bewusstsein bei den Mitarbeitenden und leistungsfähigen Technologien wie Privileged Access Management (PAM).
Was versteht man unter PAM?
Privileged Access Management (PAM) umfasst Strategien, Prozesse und technische Lösungen, um hochprivilegierte Konten – also Admin-Accounts, Root-User oder Service-Konten – zu schützen. Genau diese Konten können tiefgreifende Änderungen am System vornehmen, sensible Daten abrufen oder Sicherheitsmechanismen beeinflussen.
Beispiele privilegierter Zugriffe:
- Administratoren im Active Directory
- Service-Accounts für Datenbanken oder APIs
- Automatisierungskonten in DevOps
- Zugriff auf Firewalls oder SIEM-Systeme
Das macht sie zum Einfallstor Nummer eins für Angriffe. [nbsp]Besonders moderne Ransomware-Kampagnen zielen gezielt auf privilegierte Zugänge, um sich unbemerkt im Netzwerk auszubreiten und maximale Kontrolle über kritische Systeme zu erlangen. Ohne ein sauberes PAM sind Unternehmen hier hochgradig verwundbar.
Wird in Deiner IT wirklich überwacht, wer privilegierte Zugriffe nutzt?
Genau diese Frage solltest Du eindeutig mit „Ja“ beantworten können – und zwar am besten durch den Einsatz eines Privileged Access Management (PAM). Ein modernes PAM-System geht weit über die reine Passwortsicherung hinaus:
- Privileged Account Vault: Passwörter werden in einem sicheren Tresor verwahrt, nie direkt offengelegt.
- Session Monitoring: Jede privilegierte Sitzung wird aufgezeichnet, Aktivitäten lassen sich live überwachen und bei Bedarf sofort beenden.
- Just-in-Time Access: Rechte werden nicht dauerhaft vergeben, sondern nur für den Moment, in dem sie gebraucht werden.
- Integration mit IAM, MFA [&] SSO: PAM fügt sich nahtlos in bestehende Sicherheitsinfrastrukturen ein und verstärkt Schutzmechanismen.
Damit hast Du volle Transparenz, wer wann mit welchem Zweck in kritische Systeme eingreift.
Warum Technik allein nicht reicht
Auch wenn die Tools beeindruckend sind: Technik kann fehlende Verantwortung nicht ersetzen. Du brauchst zusätzlich:
- Klare Richtlinien: Wer darf wann auf welche Systeme zugreifen?
- Regelmäßige Reviews: Rechte müssen regelmäßig überprüft und ungenutzte Zugänge entfernt werden.
- Awareness: Admins und Entwickler müssen sensibilisiert sein, dass privilegierte Zugriffe besonders heikel sind.
Nur wenn technische Maßnahmen und organisatorische Vorgaben zusammenspielen, erreichst Du ein echtes Sicherheitsniveau.
Passwort-Management – die unterschätzte Basis
Starke Passwörter sind immer noch essenziell. Doch Hand aufs Herz: Kaum jemand kann sich 30 komplexe Passwörter merken. Hier kommen Passwort-Manager ins Spiel:
- Sie speichern und verschlüsseln alle Zugangsdaten.
- Sie helfen beim Generieren starker, individueller Passwörter.
- Sie synchronisieren über Geräte hinweg und warnen vor Phishing-Seiten.
Kritisch bleibt nur eines: Vergisst Du das Master-Passwort, bist Du im schlimmsten Fall ausgesperrt.
Praktische Lösungen: PAM & Passwort-Management in Aktion
Mehrere Anbieter unterstützen Dich dabei, privilegierte Zugriffe zu schützen:
- Wallix PAM: Bietet umfassendes Privileged Access Management inklusive Passwort-Tresor und Session Monitoring.
- FUDO PAM: Stark im Bereich Session Recording und Zugriffskontrolle, besonders für hybride IT-Umgebungen.
- SolarWinds ARM (Access Rights Manager): Fokussiert auf die Verwaltung und Kontrolle von Zugriffsrechten im Unternehmen – ein wichtiger Baustein, um den Überblick zu behalten.
Ohne Kontrolle keine Sicherheit
Privilegierte Zugriffe müssen überwacht und kontrolliert werden – ohne Ausnahme.
Mit PAM-Systemen stellst Du sicher, dass kein Zugriff unbemerkt bleibt. Doch Technik ist nur die halbe Miete: Ohne klare Prozesse, strikte Richtlinien und ein geschärftes Bewusstsein in Deinem Team bleibt jede Lösung lückenhaft.
Die Kombination aus Technologie + Richtlinien + Verantwortung ist der einzige Weg, privilegierte Zugänge nachhaltig zu schützen.
